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У статті задачу забезпечення групової анонімності розглянуто в контексті С510-процесу обробки 
даних, виконано порівняльний аналіз описаних у літературі методів її забезпечення. На основі аналізу 
сформульовано умови, за яких доцільніше використовувати відповідні методи. 

Ключові слова: групова анонімність, С51)-процес, міметичний алгоритм, мікрофайл. 


І Фе агіїсіе, Бе ка5К ої ргомійіпє бгопр апопутліїу 15 дізси55ед іп Бе сопіехі ої Бе С51Ю) 4аіа 
ргосе88. А сотпрагайує 5(шду ої арргоргіаїе тешоайя єімеп іп (Бе Шіегагиге і5 регіогтед. Ва5ед оп із 
5 шу, сопдїйопя аге Рогпаціатед Гог сроовіпє птеШодя Шаг бі еасі рагіїсиіаг сазе. 

Кеу ууогаз: сгопр апопутігу, С51) даїа ргосе58, плетебіс аїсогіївт, піисгобіе. 


Вступ 

У світі спостерігається невпинне зростання обсягів цифрових даних, значна 
частина яких містить конфіденційну інформацію про особу чи групу осіб. Упередження 
витоку такої інформації можна забезпечити одним із двох способів |1|: трансформувати 
даних для зниження ризику розкриття інформації або фізично обмежити доступ до 
даних. Оскільки в умовах інформаційного суспільства значна частка даних публікується 
у відкритому доступі, перший підхід часто є єдиним можливим. 

Як правило, інтереси респондентів та кінцевих користувачів даних прямо 
суперечать один одному, оскільки перші зацікавлені в максимальному захисті чутливої 
інформації про себе, а другі - - у здобутті якомога повніших первинних неагрегованих 
даних (мікроданих). Організації, які забезпечують публічний доступ до (мікро)даних із 
одночасним захистом від порушення приватності осіб та груп осіб, називають 
організаціями-розпорядниками даних (аїа 5іемагдіяір огеапігайопз) |2). Прикладами 
таких організацій є державні статистичні служби (наприклад, Державна служба 
статистики України), міжнаціональні статистичні установи (наприклад, Статистичний 
офіс Європейського Співтовариства), медичні заклади, архіви тощо. 

Процес обробки даних, який здійснюють  організації-розпорядники, можна 
розділити |2| на чотири підпроцеси -- збір (сарішге), зберігання (5їогаєе), інтеграція 
(пеєтайоп) та розповсюдження (аїз5етіпапоп). Такий процес називають С51)-процесом 
за першими літерами відповідних англійських термінів. Ці підпроцеси передбачають: 

-. збір даних шляхом спостережень, переписів населення чи опитувань; 

- збереження даних у великих обсягах у доступному електронному форматі; 

-. інтеграцію даних між різними базами даних; 

- розповсюдження даних, результатом якого є деякий інформаційний продукт, 
наприклад, вихідні таблиці чи файли мікроданих. 
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Виділяють дві моделі розповсюдження даних |31: 

- модель із недовірою, за якої організація-розпорядник не користується довірою 
респондентів та може порушити приватність зібраних даних; 

- модель із довірою, за якої організація-розпорядник користується довірою 
респондентів, тобто збір даних відбувається без застосування додаткових 
методів захисту. При цьому довіра не поширюється на потенційного кінцевого 
користувача інформаційного продукту, тому розповсюдження даних повинно 
передбачати додатковий їх захист. 

У даній роботі розглядатимемо тільки модель із довірою. 

Маскувати дані можна на трьох різних стадіях С51)0-процесу |4): на етапі збору 
даних (шляхом рандомізованих опитувань), на етапі розповсюдження даних або на етапі 
подання результатів їх аналізу. У даній роботі нас цікавить тільки друга можливість. На 
етапі розповсюдження організація-розпорядник даних, серед іншого, повинна 
забезпечити анонімність публікованих даних. У силу надзвичайної практичної 
значущості цієї задачі систематизації методів її розв'язання присвячено дану роботу. 

Постановка проблеми 

Під  анонімністю | об'єкта | розуміють неможливість | однозначного 
характеризувати його у множині певних об'єктів |5|. Анонімність буває двох видів: 

-. індивідуальна анонімність, яка стосується інформації про окремого респондента; 

- групова анонімність, яка стосується розподілу інформації про групу респондентів. 
Забезпечення анонімності передбачає виконання таких етапів |21: 

-. аналіз ризику порушення анонімності; 

-- модифікація даних для зменшення ризику; 

-. аналіз впливу застосованих модифікацій на корисність даних. 

У даній роботі розглядатимемо тільки забезпечення групової анонімності 
даних. У літературі описано низку відповідних методів, але не вказано умов, за яких 
використання того чи іншого методу є найбільш доцільним. Тому в даній роботі 
ставиться задача на основі критичного аналізу літератури з групової анонімності 
систематизувати існуючі методи її забезпечення та встановити, які методи найбільш 
ефективно використовувати 1 за яких умов. 

Аналіз останніх досліджень і публікацій 

Методи індивідуальної анонімізації можна розділити на пертурбативні 
(модифікують записи з набору даних) та непертурбативні (анонімізують дані, явно 
не спотворюючи їх). До пертурбативних методів належать додавання до даних шуму 
з метою ускладнення ідентифікації записів |6), методи досягнення К-анонімності |71, 
обмін значень певних атрибутів між різними записами |З| тощо. До 
непертурбативних методів належать перекодування та огрублення даних |З9) та ін. 

В останні роки розроблено додаткові методи забезпечення індивідуальної анонімності: 
- алгоритм захисту приватності (10), який передбачає переробку даних з метою 

унеможливлення  віднаходження класифікаційних правил, які можуть 
призводити до витоку чутливої інформації; 

-  методна основі кластеризації | 11| у випадку декількох чутливих атрибутів даних; 

- методи забезпечення індивідуальної анонімності в соціальних мережах | 121. 

Огляд інших новітніх методів наведено в | 131. 

Уведемо деякі позначення. Називатимемо мікрофайлом М таблицю з 


мікроданими, у якій рядки (записи) г), і-1,..,р, відповідають респондентам, а 
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стовпці у", )-1..пП, -- атрибутам. Сутнісними атрибутами Муз узі оз 


називатимемо атрибути, значення яких дають змогу ідентифікувати респондента як 
належного деякій групі (підмножині записів). Сутнісними записами гі), і з 1,...р,, 


називатимемо записи, значення сутнісних атрибутів яких належать декартовому 
добутку У - уу, Х...Х УУ,,  Називатимемо параметризуючим атрибут у,, ру; М), 


значення якого Ро Ір І|Р є М і-1,.Ї,» --  параметризуючі значення -- 


визначають розподіл інформації про сутнісні | записи.  Називатимемо 
параметричними підмікрофайлами підмножини записів М.,..., М, , у кожній із яких 
р 


записи мають однакове параметричне значення. Кількість записів в і-ому 
підмікрофайлі позначатимемо через р,. 


Розподіл даних про групу за значеннями  параметризуючого атрибуту 


називатимемо цільовим сигналом в-(050оумв, . У роботі розглядатимемо тільки 
р 


один його різновид - - кількісний сигнал 4- івано її де 4, -- - Кількість сутнісних 
р 


записів в М, . Вибір інших описаних у літературі типів цільових сигналів не впливає на 


одержані в статті висновки. 

Ризик порушення групової анонімності несуть викиди кількісного сигналу вгору, 
які відповідають аномальним скупченням респондентів з однаковими характеристиками 
(сутнісними комбінаціями значень) в одному параметричному підмікрофайлі. Множину 
індексів 4, які відповідають викидам, позначатимемо через опт (4) ; 


Як відомо (14), вилучення сутнісних атрибутів (наприклад, «Військова 
служба») із мікрофайлу не забезпечує групової анонімності в загальному випадку, 
оскільки (15) існує можливість сформувати модель групи респондентів мікрофайлу 
на основі значень решти атрибутів мікрофайлу, вилучення яких неприпустиме 
(наприклад, «Вік» чи «Стать»), яка дає можливість побудувати розподіл, викиди 
якого відповідають викидам кількісного сигналу. 

У літературі виділяють |16| два основні підходи до забезпечення групової 
анонімності даних: одноетапний та двоетапний. У двоетапних методах спочатку 
здійснюють модифікацію кількісного сигналу для маскування викидів, а потім 
модифікують дані мікрофайлу, щоб по них можна було побудувати модифікований 
сигнал. Такий підхід простий у застосуванні (можна задати довільний вигляд 
модифікованого сигналу), проте на практиці призводить до внесення в дані 
спотворень великого обсягу (оскільки під час визначення вигляду модифікованого 
сигналу не враховуються інші атрибути, окрім сутнісних). 

В одноетапних методах цільовий сигнал та мікрофайл модифікуються 
одночасно шляхом послідовного обміну між різними підмікрофайлами схожих 
респондентів, один із яких належить групі, а інший -- ні. У цьому випадку 
з'являється можливість явно сформулювати критерій оптимальності розв'язку ЗЗГА, 
який враховує як обсяг внесених у мікрофайл спотворень, так і рівень маскування 
викидів у початковому сигналі. 

Мета дослідження 

Метою даної роботи є систематизація існуючих методів забезпечення групової 
анонімності в рамках підпроцесу розповсюдження даних (С5П)-процесу та 
встановлення умов, за яких найбільш застосовні відповідні методи. 
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Формалізація задачі забезпечення групової анонімності 
Розв'язання ЗЗГА передбачає знаходження послідовності пар записів 


мікрофайлу 8- (вд (еко, де і, К-10 -- індекси записів 


мікрофайлу, які характеризуються такими властивостями: 

-. записи в кожній парі належать різним підмікрофайлам; 

-. укожній парі тільки один запис є сутнісним; 

-. кількісний сигнал, збудований за модифікованим мікрофайлом, утвореним після 
виконання обмінів із 5, не містить початкових викидів (або принаймні значної 
їх частини); 

- записи в парі повинну бути в деякому сенсі схожі між собою, щоб обсяг 
спотворень, унесених у дані, був якомога менший. 


У літературі як міру схожості записів використовують | 16| визначальну метрику: 
2 


Ппор г з Пкат 
І. 


Пам") з | | У (думі), 
КЧІ і-ї І 


"То, 
де І, (/) -- К-ий порядковий (І-ий категорійний) визначальний атрибут 
(атрибут, розподіл значень якого становить інтерес для дослідників), ху» м») 
дорівнює деякому числу 7,, якщо У, та У, належать одній категорії, та У, -- у 
протилежному випадку, а, та у, -- невід'ємні вагові коефіцієнти (що важливіший 


атрибут, то більше значення відповідної ваги). 

У П7) показано, що ЗЗГА можна звести до задачі пошуку потоку мінімальної 
вартості в мережі (18|, архітектура якої безпосередньо визначається вибором 
сутнісних та параметризуючих значень, а також значеннями модифікованого 


кількісного сигналу «|. Позначмо через С «(М ,А) орієнтовану мережу, визначену 


множиною М із п вузлів та множиною ДА з т орієнтованих дуг. Кожна дуга 
характеризується вартістю с, та пропускною здатністю и, . Кожний вузол і асоційовано 


з деяким числом Ь(і ) , яке можна інтерпретувати як його пропозицію (якщо Ь(і ) » 0) 


або попит (якщо Ь(г) « 0). Задачу пошуку максимального потоку мінімальної вартості х 


можна сформулювати так: 


тіп ди сіХу» 
(і, їєА) 


о до З кре В Ме, 
) 


і єА До ієА 


Окхуси, (і) є А, 


УМі)но 


Архітектура мережі у випадку ЗЗГА має такі особливості (рис. 1): 
- о МамомоМмом,, МОМ, а Мі; 


- вузли М є М,, І - 1,4, відповідають параметричним підмікрофайлам М, ; 
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- М, (М.) містить І, підмножин, що не перетинаються. Вузли мо є М9 


(м є м9У відповідають сутнісним (несутнісним) записам М,, К-  РУРо о 


і 1,...4, (1 21,...р,-4,5 
- АЗАум, Ам УА» Ам ПАМ с НІ 


2 2 - - М 
- одугив А, м, З ЄДнують кожний вузол із М; з кожним вузлом із М;; 


-. пропозиції вузлів із У, дорівнюють (м. ) а о 5 рн де 6, 34. - 4; 
ов 5 ї б б; ? 0 ж 
-. попити вузлів із У, дорівнюють (м; ) - о 80 де 6, 34. 741; 


-. пропозиції та попити вузлів в М, та М, дорівнюють 0; 
- ийг-іМі); с,-0 Мі,), якщо су Є Амм, або су Є Амуму? вартість дуги 
кі І, - о С о 
по Нео. ані РОЙ І РОЇ ері 


дорівнює значенню (1), обчисленому для відповідної пари записів. 
ЗЗГА можна сформулювати так: знайти послідовність 5, яка задовольняє умови 


огт(ч) о00т|ч (5) - 


тео ь. 
о от | оці 
- род 
г Ж 
» м 
Ка! 
де 4" (5) - модифікований сигнал після послідовних попарних обмінів записів із 5, 
Куш -- поріг чутливості, К,., - - поріг спотворень, С. ,, - - найбільше можливе сумарне 


значення визначальної метрики (1), яку можна обчислити для розв'язуваної ЗЗГА. 
Двоетапні методи розв'язання задачі забезпечення групової анонімності 
Історично першими було запропоновано двоетапні методи забезпечення 
групової анонімності даних. Етапи підпроцесу розповсюдження даних у цьому 
випадку можна інтерпретувати таким чином: 

-. аналіз ризику порушення анонімності: виявлення викидів у кількісному сигналі. 
Якщо їх можна виявити візуально чи за допомогою спеціальних методів, 
вважається, що ризик порушення анонімності існує; 

- модифікація даних для зменшення ризику: у літературі описано три методи, які 
передбачають модифікацію кількісного сигналу для маскування викидів, які 
розглянемо нижче, а також метод модифікації мікрофайлу для приведення його у 
відповідність до модифікованого кількісного сигналу на основі розв'язання 
відповідної задачі пошуку потоку в мережі; 

- аналіз впливу застосованих модифікацій на корисність даних: для цього в 
кожному з методів запропоновано свій спосіб оцінки якості одержуваного 
модифікованого сигналу, а для оцінки загального обсягу внесених спотворень 
використовується метрика (1). 
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Рис. 1. Архітектура мережі для задачі забезпечення групової анонімності 


Різні методи модифікації кількісного сигналу дають змогу зберегти різні 
властивості сигналу, маскуючи при цьому його викиди. Зокрема, метод нормалізації 
119) дає змогу зберегти середнє та середньоквадратичне відхилення сигналу. Для 
цього потрібно: 

- довільним чином модифікувати 4 та одержати сигнал 4, у якому масковано викиди; 


- нормалізувати 4: 


ж я 


РЕ РРО о ЗАЛУ: 
4ч4-|493--8УЙй ро, 
б с 


2 
дей б, ноз "АЙ, ба Уай) 1) 9 Уа и) о) 
Збереження тільки статистичних моментів часто є недостатнім, тому в 
літературі запропоновано інші методи модифікації кількісних сигналів. 
Метод на основі вейвлет-перетворень |20) дає змогу зберегти високочастотні 
особливості сигналу. Основна ідея методу полягає в тому, що сигнал можна подати як 


К 
4-А, "У; і 
де А, -- апроксимуюча складова сигналу (його згладження), Д, -- деталізуючі 


складові різних рівнів (високочастотні коливання в сигналі різних частот). 
Для маскування викидів сигналу потрібно модифікувати А,, а для збереження 


його високочастотних особливостей -- залишити незмінними Ю), (чи змінити їх 

пропорційно). У результаті модифікації, описаної в |20|, можна одержати модифіковану 

У ПМ і і Мей ук К й 

складову А,, у якій масковано потрібні викиди, та сигнал д- А, - З р; . Якщо деякі 
і 


з елементів цього сигналу будуть від'ємними, потрібно додати відповідно велике число 
у. Для збереження загального числа сутнісних записів потрібно домножити 


одержуваний сигнал на відповідний коефіцієнт: 
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«-(ан) (Ха. | (а, м). 


Третій описаний у літературі метод модифікації кількісного сигналу базується 
на сингулярно-спектральному аналізі, основна ідея якого полягає |21 | в розкладенні 
початкового ряду в суму його трендової, періодичної та шумової складових. Для 
цього сигнал спочатку перетворюють у траєкторну матрицю: 


й 9 4 о зо Чк 
4» 4 Чо о Че 

Хоч 4 43 4660 Чко |, 
Ч. Чорна Чо о 4 


14 


де І, - - довжина вікна, 1 « І. « І ній кількість векторів вкладення, К - / Вк 


Відповідну матрицю можна подати у вигляді сингулярного розкладення 
ХеХ З. нХ,, 


де Х, з У ПУ, Ж, -- власні числа матриці ХХ, узяті в незростаючому порядку, 
(, -- ортонормовані власні векторі, що відповідають цим числам, а тах ї І,» 0), 
аа ой С ЛРДУ ЛОЮ зо РЕ 

Множину індексів она можна розбити на групи, які відповідають власним 


числам великої амплітуди, парним власним числам та власним числам, близьким до нуля. 
Якщо позначити деяку підмножину індексів через / - ної , а відповідні матриці - - 


через Х, - Х, кн... -Х, , то траєкторну матрицю можна подати у вигляді суми 
ХаАХ, -..3Х,, 
1 К 


де кожна матриця відповідає трендовій (власні числа великої амплітуди), 
періодичним (парні власні числа) чи шумовій (власні числа, близькі до нуля) 
складовим сигналу. Переведення кожної з відповідних матриць в одновимірний 
сигнал описано в |21). 

Маскувати викиди кількісного сигналу можна шляхом модифікації його 
трендової складової. Для збереження корисних властивостей сигналу в цьому 
випадку потрібно не змінювати його періодичних складових. 

Таким чином, можна зробити підсумок, що використання кожного з описаних 
вище методів випливає з потреби в збереженні тих чи інших особливостей 
кількісного сигналу: 

- якщо є потреба в збереженні середнього та середньоквадратичного відхилення 
кількісного сигналу, потрібно застосовувати метод нормалізації; 

- якщо є потреба в збереженні високочастотних особливостей кількісного сигналу, 
потрібно застосовувати метод на основі вейвлет-перетворень: 

- якщо є потреба в збереженні періодичних складових кількісного сигналу, потрібно 
застосовувати метод на основі сингулярно-спектрального аналізу. 

Одноетапні методи розв'язання задачі забезпечення групової анонімності 

Двоетапні методи забезпечення групової анонімності мають спільну ваду: обсяг 
унесених спотворень визначається вибором модифікованого сигналу, але в усіх 
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методах його сигналу здійснюється довільно, що на практиці призводить до значних 
обсягів унесених спотворень. В одноетапних методах розв'язання ЗЗГА кількісний 
сигнал модифікується з метою маскування викидів з одночасною модифікацією даних. 
Фактично, на третьому етапі підпроцесу розповсюдження даних якість 
модифікованого кількісного сигналу не є ключовою, а основною стає задача 
мінімізації загального обсягу спотворень у розумінні (1). 

Таким чином, стає можливим підбір модифікованого кількісного сигналу, який 
відповідає архітектурі мережі з потоком мінімальної вартості. Оскільки підбір такого 
сигналу є в загальному випадку переборною задачею, та враховуючи той факт, що на 
практиці анонімізовані дані належать до категорії даних великого обсягу, у більшості 
випадків недоцільно шукати оптимальний розв'язок ЗЗГА. Часто допустимі розв'язки 
дають змогу надійно забезпечити анонімність, уносячи при цьому в мікрофайл 
незначні спотворення. 

Модифікуймо постановку ЗЗГА. Будемо шукати послідовність обмінів записів 
5, яка задовольняє такі умови: 


цаї (8),---зчї, (8)) 2 ар» 


от (4) ОПТ(4 (58 
Опт (а) 
о 
У лам (Рено 2 Ка | Са , 
Каї 
де ца (5). -4і, (5) - ступінь сумісності 4 із обмеженнями, які накладають на 


значення сигналу 4, що відповідають викидам, й 
» 0,5. 


Обмеження з (3) визначає експерт для кожного значення кількісного сигналу, яке 


поріг сумісності; як 


сотр 


правило, а 


сотр 


відповідає викиду. Кожне таке обмеження є функцією и, (х) з такими властивостями: 
- дорівнює для х24 ; (викид не може збільшуватися); 
- дорівнює 1 для ххє,, де є, -- порогове значення, нижче якого повинно 


спуститися відповідне значення сигналу; 
- | монотонно спадає до 0, коли є, «х 4). 


У літературі описано (14) міметичний алгоритм розв'язання поставленої таким 
чином ЗЗГА. Міметичний алгоритм - - це |22| еволюційний алгоритм із додаванням 
локального пошуку. У  міметичному алгоритмі м для розв'язання  ЗЗГА 
використовується популяція матриць Ї/ розмірності Ох4, де кожний рядок 
однозначно задає пару записів для обміну: 

- елемент першого стовпця -- це індекс підмікрофайлу, із якого потрібно 
вилучити запис; 

- елемент другого стовпця - - це індекс запису в рамках відповідного підмікрофайлу; 

- елемент третього стовпця - - це індекс підмікрофайлу, до якого потрібно додати запис; 

- елемент четвертого стовпця - - це індекс запису в рамках відповідного підмікрофайлу. 
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Кожний запис може входити в Ї/ тільки один раз. Індекс підмікрофайлу |і, 
і з 1,..5Ї,» не може зустрічатися в 1-ому стовпці більше від 4, разів, а в 3-ому - - більше 
від (р; -4,) разів. 
Пристосованість кожної особини в популяції визначається функцією 
70) У(0)-Ф(0)-М(0), 
де У(И ) відповідає якості розв'язку з погляду мінімізації спотворень, Ф(И ) відповідає 
якості розв'язку з погляду маскування викидів (добуток відповідних и, (х) ), чу ) о 


штрафний терм для упередження необмеженого зростання особинах. 
Міметичний алгоритм передбачає виконання такої послідовності кроків: 


Випадковим чином згенерувати популяцію Р - Й і з и особин, і- 1,...Ш. 


Застосувати оператор локального пошуку 5(0,) із. 


Обчислити значення функції пристосованості (3) для кожної особини. 
Якщо виконується умова завершення, зупинити алгоритм. 
Вибрати 2 пар батьківських особин; помістити їх у множину Р". 


У ОВО о 


Застосувати оператор рекомбінації к(0 аб лу до кожної пари особин (0 а зо з 
Р", і зі1,.5М, і, 2 1,...,М., і жі; помістити нащадків у множину Р". 


)«(М,оМ,ом,ом)(О,) МИ, єр", 


7. Застосувати оператор мутації м(ц і 


/-1..М, де кожний оператор М,, К-і,..,4 діє окремо на відповідний 
стовпець Ї/ і 


8. Застосувати 5(0,) до кожної особини з Р". 


9. Обчислити значення функції пристосованості (3) кожної особини з Р". 
10. Вибрати ш найпристосованіших особин із Р. Р"; додати їх у Р замість поточних. 
11. Перейти на крок 3. 
Початкова популяція формується шляхом випадкового генерування особин із 
різною кількістю рядків. Імовірності для генерування елементів першого стовпця 
пропорційні значенням відповідних елементів 4, елементів третього -- пропорційні 


розмірам відповідних підмікрофайлів. Завершення роботи алгоритму можна 

здійснювати після генерації наперед визначеної кількості поколінь. Вибір решти 

параметрів алгоритму залежить від особливостей кожної конкретної ЗЗГА. 
Порівняння двоетапних та одноетапних методів розв'язання ЗЗГА 
На основі аналізу методів розв'язання ЗЗГА можна зробити такі висновки: 

-  ддвоетапні методи дають змогу не тільки маскувати викиди кількісного сигналу 
шляхом Його модифікації, а Й зберегти деякі Його характеристики (моменти, 
високочастотні складові, періодичні компоненти); 

-  одноетапні методи в загальному випадку дають змогу модифікувати дані, унісши 
спотворення меншого обсягу, але корисна інформація, яка може міститися в 
структурі кількісного сигналу, втрачається. 

Систематизацію відповідних спостережень наведено на  ЮМІ,діаграмі 
діяльності працівника організації-розпорядника даних, в обов'язки якого входить 

забезпечення групової анонімності даних (рис. 2). 
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. 


Рис.2. ОМІ;діаграма діяльності працівника організації-розпорядника даних, 
в обов'язки якого входить забезпечення групової анонімності даних 

Висновки 

У роботі виконано порівняльний аналіз описаних у літературі методів 
забезпечення групової анонімності даних як складової частини підпроцесу 
розповсюдження даних СІІ5-процесу обробки даних. За результатами виконаного 
аналізу встановлено, що двоетапні методи забезпечення групової анонімності 
доцільно використовувати, коли особливості кількісного сигналу мають істотне 
значення для потенційних дослідників, і їх потрібно зберегти, навіть якщо обсяг 
спотворень, унесених у дані мікрофайлу, від цього збільшиться. 

В умовах, коли структурні особливості кількісного сигналу не мають значної 
ваги, доцільно використовувати  одноетапні методи забезпечення групової 
анонімності, зокрема, метод на основі міметичного алгоритму, який дає змогу 
одночасно модифікувати кількісний сигнал та дані мікрофайлу, уносячи, як правило, 
спотворення меншого обсягу. 
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КЕ5ОМЕ 


О.К. Срегіоу, Р.У. Таугоу 

Ргоуїдіпе єгопр апопутібу аз а рагі ої С51) даїа ргосе55 

М/їй Фе адуепі ої плодегп іпфоглайоп (есппоїо?1ез, її паз бесоте ап аштобі шбідціїоц5 
ргасисе (о ргоміде рибійс ассез5 (о ргітагу поп-абєгерагеа даїа (о Гасіае уагіоця Кіпаз ої 
гезеагсї. М/реп рибізбіпє 5исп Чака, (муо сопігадісіогу іпіеге5і5 сіа5|. Кезропаєтів аге 
изцаЙу іпіегезіед їп ргоїесійпє аз плисп 85еп5ійує іпіогтпайоп абоці Шпепп5еЇуез аз роз5ібіе, 
хуУре рогепиа! Чага ц5егя ууоцід ПКе (0 геї ассе55 (0 а5 плисП Ааїа аз роз5ібіе. ТРре ргосе55 ої 
ргомійтпе рибіїс ассе55 (о Фе ага, апа аї бе зате йте еп5игіпеє Шаї 5еп5ійуєе іпРогттайоп 15 
ргогесіеа, 15 саПеа Чака 5(ем/агаярір. Огеапігайопя гезропзібіе Гог і8 Кіпа ої |об аге Кпохуп 
а5 Чака зіемуагдярар огеапігайопя. 

ЗисП огеапігайоп5 ргосе55 Чака ассогаїпє (0 ууПаї 15 саПед С5П) ака ргосе55 
(сарішге, 5огабе, іпіергацоп, Фіз5епиіпайогп). Ког Бе Чака ргоїесйоп рагі, Фіз5епаиіпайоп 
зшбргосе55 15 Ше тобі шпрогіапі, Бесац5е 18 15 ас їБі5 5каєе мПпеп Ше Мага аге пподійеа (о 
таз5К 5еп5ійує іпГогтайоп. Тре пподфійсайоп аррпеад тизі рге5егуе зийісіепйу Бір Ісуеі 
ої Чака ийу аз муеП. 

І ргасіїсе, піодфійсацоп5 дигіпе Ше дї55епипайоп ргосе55 іпуоіуе ргомідіпе, дака 
апопупаїу, у"піср сап Бе ої еїрег іпатутдна! ог ягойпр Кіпа. Мешоадз бог ргоумійіпе ягопр 
апопутіїу Бауе Бееп ргоробед їп Ме Піегакиге їп Бе гесепі усаг8, бий Шеу Бамеп'ї Бееп 
зузіетайсаПу апаїугед їп Ше Бгоадег сопіехі. 

Іп Фіз рарег, єгоипр апопупаіїсу тешпоадз аге рий їп Фе сопіехі ої С5ГЮ аа ргосе55. 
Арргоргіаїе сопаїопз аге ідепиПеа ог споозіпе рагіїсиіаг плешрод5 дерепате оп уПпіср 
рагс ої іпіогтацоп 10 15 песез5агу (о рге5егуе Фигіпє даса ттодійсайоп. 
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